CTC、West Pointとモデル窃取対策AIセキュリティツールを開発
CTCはWest PointのRobotics Research Centerと連携し、敵対者に先んじて機械学習モデルを攻撃・検証するAIセキュリティツールを開発している。この協業は、従来のソフトウェアテストでは十分に測定しにくい二つのリスク、モデル窃取とプライバシー漏えいを対象とする。この対立により、CTC AI security toolには、研究段階の攻撃手法を防衛上の意思決定に使える再現可能な証拠へと変換するという難しい役割が課される。
このプロジェクトの中心は、より広範な評価システムに組み込まれるモデル窃取パイプラインだ。Concurrent Technologies Corporation（CTC）は、このパイプラインが開発試験・評価のタスクを自動化するとしている。モデルアーキテクチャ、訓練手法、防御技術が、異なる窃取攻撃にどう対応するかを検証する。
考え方は単純に聞こえるが、求められる基準は極めて高い。有用な防衛評価は、単に攻撃が実行されたことを示すだけでは不十分だ。攻撃で何が復元されたのかを測定し、構成ごとの結果を比較し、モデルが任務に適した水準を維持しているかを説明しなければならない。
この要件により、このプロジェクトは主たる課題である、主観的かつ労力集約的なAIセキュリティテストに向き合うことになる。既存の評価では、復元データを専門家が確認し、攻撃が成功したかを解釈する作業に依存することが多い。この手法を、多数のアーキテクチャ、データセット、アクセス条件にまたがって繰り返すのは困難だ。
CTCとWest Pointは、この作業をより体系化しようとしている。その課題は、便利なスコアの背後に重要な文脈を隠すことなく、自動化によってセキュリティテストを拡張できると証明することにある。
CTC AI Security Tool、モデル窃取をテストへ転換
この協業は、モデル窃取を仮説上の警告ではなく、測定可能なエンジニアリング課題として扱う。
CTCは2026年9月9日、U.S. Military AcademyのRobotics Research Centerとの提携を発表した。プロジェクト発表によると、チームは自動化された開発試験・評価のための機械学習モデル窃取パイプラインを設計している。
モデル窃取とは、モデルに関する情報を回収し、その挙動を再現し、あるいは訓練データの特性を露出させる攻撃を指す。NISTはモデル抽出を、モデルのアーキテクチャやパラメータに関する詳細を取得するプライバシー攻撃と定義している。関連するモデル反転攻撃は、元の訓練データに類似した情報の再構築を試みる。
こうした区別が重要なのは、被害が知的財産にとどまらないためだ。窃取されたモデルは、設計上の選択、決定境界、特化した能力を明らかにする可能性がある。反転攻撃は、モデルが運用データから学習した機微なパターンを露出させるおそれがある。
システムが軍事画像やその他の制限情報を扱う場合、リスクはより深刻になる。価値ある情報を漏えいするために、モデルが保存された訓練記録を一語一句そのまま返す必要はない。復元されたクラス特徴から、システムが何を認識し、どのように標的を区別しているかが明らかになる可能性がある。
CTCによれば、このパイプラインは、どのアーキテクチャや訓練技術がプライバシー漏えいを受けやすいかの特定に役立つ。プロジェクトでは、差分プライバシーや敵対的訓練を含む防御策もテストする。
差分プライバシーは、個々の訓練サンプルが観測可能な結果に与えられる影響を制限する数学的アプローチだ。敵対的訓練では、開発中にモデルへ操作されたサンプルを与え、関連する攻撃への耐性を高める。いずれの防御もあらゆるリスクを排除するものではなく、モデルの有用性に影響を及ぼす可能性がある。
したがって、この評価システムは攻撃の成功だけを比較するものではない。専門家が結果を理解できるだけの詳細を保持しつつ、モデル、攻撃、防御を横断した実験を支援しなければならない。CTCはこの目的のため、独自のコードベースをモジュール式で再構成可能なコンポーネントに統合しているとしている。
CTCの2025年度年次報告書では、この広範なシステムをPROTECTと特定している。同報告書によれば、同社とWest Pointは、開発試験・評価のツールと指標を自動化・拡張するためにPROTECTを開発している。
この先行する言及は、9月の発表が未踏の概念の出発点ではないことを示す。これは、すでにCTCの開発ポートフォリオに含まれていた研究方針を公に説明したものだ。
発表では、契約額、納入スケジュール、運用顧客、配備日はいずれも明らかにされていない。また、このツールの利用後にシステムが通過する認証プロセスも示されていない。現時点で最も明確な成果物は、万能のセキュリティ認証ではなく、実験的な評価パイプラインである。
この境界は重要だ。CTCとWest Pointが構築しているのは、プライバシーリスクに関する証拠を生み出すための仕組みである。単一の評価によって、すべての防衛モデルの安全性を確立できるとは主張していない。
緊張関係はここから始まる。拡張可能なツールはテスト範囲を広げられる一方、利用者がスコアの前提条件を見落とせば、標準化された出力が誤った確信を生むおそれもある。
防衛AIに再現可能なセキュリティ証拠が必要な理由
防衛プログラムには、モデル開発の速度に追随しつつ、指揮官や評価者が検証・反論できる証拠を生み出すテストが必要だ。
圧力の背景には、画像を分析し、情報を優先順位付けし、自律性を支援し、運用上の選択に情報を提供するシステムで、機械学習の利用が広がっていることがある。配備のたびに、データ、アーキテクチャ、ハードウェア、任務条件、攻撃者のアクセスという新たな組み合わせが生まれる。
従来のソフトウェア保証は依然として必要だが、機械学習の攻撃面全体をカバーするものではない。既知のソフトウェア脆弱性を修正しても、出力を通じて機微な情報を露出するモデルを配備してしまう可能性がある。また、平均精度の閾値を満たしていても、慎重に設計されたクエリには脆弱なままであり得る。
米軍はすでに、このテスト不足を組織的な問題として特定している。責任あるAIの実装パスウェイでは、AI能力のライフサイクル全体を通じた試験、評価、検証、妥当性確認を求めている。
このパスウェイは、自然劣化と敵対的攻撃を検出するツールも求めている。信頼性と確信度の指標を備えた共有テストエコシステムを説明している。CTCのプロジェクトは、一つの難しい攻撃クラスを再現可能な実験へ変換することを目指しており、この方向性に合致する。
当面の圧力は、プログラムマネージャー、テスト組織、モデル開発者にかかる。関連する攻撃手法が変化し続けるなかで、システムが準備できているかを判断しなければならない。また、特定の防御策を選んだ理由と、どの残余リスクが残るかを記録する必要がある。
手作業の評価はボトルネックになり得る。モデル反転の結果には、専門家による確認を要する復元画像が含まれる場合がある。ある評価者は画像を明白なプライバシー侵害とみなす一方、別の評価者は曖昧な類似にすぎないと判断するかもしれない。
この不一致は、単なるワークフロー上の問題ではない。テストチームや開発サイクル間での比較を難しくする。また、緩和策がリスクを低減したのか、単に復元データの見え方を変えたにすぎないのかという判断も複雑にする。
規模は別の問題を生む。一つのアーキテクチャを一つの攻撃でテストしても、得られる結果は限定的だ。信頼できるプログラムでは、複数のアーキテクチャ、アクセス条件、攻撃手法、データセット、防御構成を検討する必要があるかもしれない。
任務環境を考慮する前でさえ、組み合わせの数は急速に増える。人によるレビューを完全になくすことはできないが、すべての実験で個別の解釈を要するなら、そのコストはますます大きくなる。
CTC AI security toolは、この圧力に対し、作業をパイプラインとして構造化することで対応する。パイプラインは、攻撃の実行、出力の取得、指標の算出、構成詳細の保存を共通プロセスで実施できる。この構造は比較を支援し、モデル変更後の評価の再実行も容易にする。
再現性は調達監督にとっても重要だ。セキュリティに関する主張は、定義されたモデルバージョン、攻撃の前提、データセット、測定方法に追跡できるとき、より有用になる。この追跡可能性がなければ、良好な結果が実際に配備されたシステムについてほとんど何も示さない可能性がある。
West Pointは、軍事的文脈と技術研究を組み合わせて提供する。同校のRobotics Research Centerは、Department of Electrical Engineering and Computer Scienceの内部に置かれている。同センターはロボティクスと自律システムの研究を支援し、Laboratory for Artificial Intelligence Research and Engineeringも含む。
CTCは、応用研究、システムエンジニアリング、テストの経験をもたらす。敵対的機械学習は研究と運用保証の間に位置するため、この組み合わせは有用だ。攻撃手法には技術的な信頼性が必要であり、その出力はプログラム上の意思決定を行う人々にとって使いやすいものでなければならない。
この提携によって、中心的な難しさが取り除かれるわけではない。防衛組織は、特定の任務に対してどれだけの証拠が十分なのかを判断しなければならない。管理業務の分類に使われるモデルと、時間制約の厳しい運用上の判断を支援するモデルとでは、結果の重みが異なる。
再現可能な評価は、チームがその問いを一貫して問う助けになる。しかし、人間の判断なしに任務リスクの問いへ答えることはできない。
モデル反転が示す手作業テストの難しさ
モデル反転の評価が難しいのは、復元された出力が元データを完全に再現していなくても、意味のある情報を露出させる可能性があるためだ。
この協業の背景にある研究は、その仕組みをより明確に示している。2025年9月、Tyler Shumaker、Jessica Carpenter、David Saranchak、Nathaniel D. Bastianは、自動化されたモデル反転評価パイプラインに関する研究を発表した。
彼らの公開研究は、モデル反転を、入力、内部表現、モデル出力の関係を利用して訓練情報を再構築する試みとして説明している。攻撃者は、予測、信頼度スコア、勾配、その他の利用可能な情報を用いる場合がある。
アクセス条件は攻撃の形を左右する。ホワイトボックスのシナリオでは、攻撃者は勾配やパラメータを含む可能性のある、標的に関する広範な知識を持つ。ブラックボックスのシナリオでは、攻撃者がインターフェースを通じて返される出力しか見られないこともある。
アクセスが限定されているからといって、安全性が保証されるわけではない。研究者らは、現代の攻撃が最適化と生成手法、公開データを組み合わせられると指摘している。こうした補助リソースは、完全な内部アクセスがなくても、攻撃者が認識可能な復元結果を生成する助けとなり得る。
同論文は、中心的な測定上の問題に焦点を当てている。人間の観察者は反転結果の解釈を難しく感じることがあり、その判断は主観的になり得る。ぼやけた復元結果であっても、攻撃者が標的モデルを理解する助けとなるクラス固有の情報を保持している場合がある。
著者らは、プライバシー損失を定量化するため、四つの敵対的リスク次元を導入した。さらに、画像とテキストを共同で処理するシステムであるVision-Language Modelとモデル反転手法を組み合わせ、自動分析を支援した。
このパイプラインでは、ゼロショット分類と画像キャプショニングにVision-Language Modelを使用した。ゼロショット分類は、直近の評価においてタスク固有の例を用いずに、システムへカテゴリーの識別を求める。キャプショニングは視覚的コンテンツをテキストへ変換し、さらなる比較を支援する。
このアプローチは、評価者の課題を変える。人の視覚的な印象だけに依存するのではなく、再構成されたサンプルが、クラスの識別や機微な内容の記述に役立つ情報を保持しているかをパイプラインで測定できる。
研究者らは、再構成された情報がサロゲートモデルを支援できるかどうかも検討した。サロゲートは、標的システムの挙動を模倣しようとするモデルである。再構成データが有効な代替モデルの訓練に役立つなら、その攻撃は運用上有用な知識を抽出したことになる。
このため、モデル窃取とモデル反転は重なり合うものの、同一ではない。ある攻撃はアーキテクチャの詳細やパラメータを狙うかもしれない。別の攻撃は訓練情報を標的にする可能性がある。いずれも、敵対者による能力の再現、弱点の分析、競合システム構築コストの削減を支援し得る。
この論文は、軍事用途で典型的と説明されるコンピュータビジョンの画像分類環境でパイプラインをベンチマークした。複数の反転手法と、複数の視覚言語モデル構成をテストしている。公開されている要旨は、すべてのデータ型や任務において同等の結果が得られたことを示してはいない。
この研究は、軍事システム向けAIのセキュリティと保証に関する2025年のNATO Science and Technology Organizationシンポジウムで最優秀論文賞を受賞した。CTCによると、このイベントでは60件の要旨を受け付け、そのうち30件が論文または発表として採択され、23本のフルペーパーが提出された。
この評価は研究上の貢献を裏付けるが、PROTECTの運用上の検証ではない。査読済み論文は、手法が技術的に興味深く、実験範囲内で再現可能であることを示し得る。しかし、機密モデルや未知の配備条件に対してその手法がどのように機能するかを示すものではない。
この仕組みは依存関係ももたらす。あるモデルが別のモデルからの漏えいを評価する場合、評価者はレビュー側のモデルが持つ誤りを理解しなければならない。視覚言語モデルは画像を誤分類したり、微妙な再構成を見落としたり、更新後に異なる応答を返したりする可能性がある。
したがって、自動化は主観性を排除するのではなく、その一部を移す。かつて人間の判断が再構成画像に直接適用されていたなら、それは指標の選定、プロンプト設計、しきい値、評価モデルの選択に再び現れる可能性がある。
この移行にはなお価値がある。明示された仮定は、文書化されていない印象よりも検証しやすい。パイプラインは、後のレビューに備えて選択した評価者、攻撃設定、判定しきい値を記録できる。
重要なのは、ユーザーがそれらの設定を証拠の一部として扱うかどうかだ。最終的なリスクラベルだけに注目すれば、このツールは不確実性を過度に圧縮する可能性がある。
自動化は新たなセキュリティ上のトレードオフを生む
このツールの価値は、不完全なテストを安心感のあるスコアへと変換するのではなく、不確実性を可視化できるかどうかに左右される。
NISTの敵対的ML分類体系は、ライフサイクル段階、攻撃者の目的、能力、知識、データモダリティごとに攻撃を整理している。モデル抽出に加え、再構成、メンバーシップ推論、ポイズニング、回避、その他の脅威を扱う。
この広がりは、CTCのAIセキュリティツールが直面する最初の制約を示している。強力なモデル反転評価は、完全な敵対的AI評価を意味しない。あるモデルは再構成に耐えられても、操作された入力、汚染された訓練データ、バックドア、サプライチェーン侵害には依然として脆弱である可能性がある。
第2の制約は脅威の仮定に関するものだ。敵対者がパラメータを取得できる場合、ブラックボックステストは侵害されたシステムの露出を過小評価する可能性がある。ホワイトボックステストは、配備アーキテクチャが同等の対話を防いでいる場合、リモート攻撃者の実際的なアクセスを過大評価する可能性がある。
したがってテスト設計者は、各攻撃を信頼できる運用シナリオに結び付けなければならない。攻撃者が何を知っているか、どのインターフェースが利用可能か、許容されるクエリ数はいくつか、どのような補助データが存在するかを記録すべきである。
第3の制約は指標の妥当性だ。4つのリスク次元は単一の視覚スコアよりも豊かな見方を提供するが、意思決定者には、その次元が意味のある害を捉えているという証拠がなお必要である。指標は、無害な類似と、敵対者の能力を変える開示とを区別できるべきだ。
この検証は、訓練データが機微な場合に特に難しくなる。研究者は代表的なデータセット、運用モデルの詳細、現実的な攻撃結果を公開できない可能性がある。公開ベンチマークは手法開発を支援できる一方、制限された環境で最も重要な特性を見落とす場合がある。
差分プライバシーには独自のトレードオフがある。より強力なプライバシー保護は漏えいを減らし得るが、精度に影響したり、訓練の複雑性を高めたりすることもある。適切なバランスは、任務上の影響、データの機微性、利用可能な代替策に左右される。
敵対的訓練にも同様に条件がある。訓練中に表現された攻撃パターンに対する耐性を高めることはできる。しかし、将来のあらゆる手法に自動的に一般化するわけではなく、防御側が過去のテストに対して最適化する循環を生む可能性がある。
モジュール型パイプラインは、その一つの対応策となる。チームは分野の変化に応じて攻撃手法、モデル、指標を追加できる。CTCはコンポーネントが再構成可能だとしており、これは多様な実験設計を支えるはずだ。
モジュール性は検証の負担も広げる。新しいコンポーネントはすべて、結果を変えたり依存関係を導入したりする可能性がある。更新された視覚言語評価器は、標的モデルに変更がなくてもリスクスコアを変える場合がある。
バージョン管理と来歴情報は不可欠となる。テストレポートでは、標的モデル、攻撃実装、評価器、データセット、構成、ソフトウェア改訂版を特定すべきである。そうでなければ、同じラベルを持つ2つの評価を比較できない可能性がある。
セキュリティチームは評価環境自体も保護しなければならない。モデル窃取パイプラインには、攻撃コード、標的インターフェース、実験データ、そして潜在的に機微な知見が含まれる。このシステムをめぐる統制が弱ければ、評価対象の資産に至る新たな経路を作りかねない。
この発表では、アクセス制御、隔離、配備アーキテクチャ、評価データの取り扱い規則について説明していない。また、PROTECTが切断環境で稼働するかどうかも示していない。初期段階の公開発表としてこうした省略は理解できるが、運用準備状況について結論を出すことはできない。
もう一つの不確実性は、想定されるユーザーだ。研究者は複雑な設定や曖昧な出力を許容できる。プログラムオフィスや運用テストチームには、多くの場合、文書化された手順、安定したインターフェース、要件に結び付いた判定しきい値が必要となる。
研究パイプラインを共有テストリソースへ移行するには、単にコードをパッケージ化するだけでは足りない。訓練、ガバナンス、ベンチマークの保守、結果に異議を唱えるためのプロセスが必要になる。ユーザーは、テストが適用できない場合や専門家の介入が必要な場合を知る必要がある。
評価のゲーミングというリスクもある。スコアが調達や配備に影響するようになると、開発者にはそのテスト向けに最適化する動機が生まれる。モデルは既知のスイートに対しては好成績を収めても、より広範なレジリエンスを獲得していない可能性がある。
独立した評価はこのリスクを減らし得る。攻撃手法を輪番で変更し、開発ベンチマークを受け入れテストから分離することも有効だ。公開資料では、CTCまたはWest Pointがこれらの課題をどう管理するかは述べられていない。
こうした制約のいずれも、自動化が不適切な目標であることを意味しない。むしろ、自動化が保証を改善する条件を定義している。PROTECTの最も強力な形は、構造化された証拠を生み、不確実性を保持し、再テストのコストを低くするものだろう。
より弱い形は、仮定が依然として検証しにくい洗練されたラベルを生成するものとなる。このプロジェクトの重要性は、どちらの形が現れるかにかかっている。
PROTECTが研究の域を超えるかを示す3つのシグナル
次の試練は、セキュアなAIに関するもう一つの大まかな約束ではない。PROTECTが元の実験の外で再現可能な意思決定を支援できることを示す証拠である。
第1のシグナルは、2025年の研究パイプラインをより広範なPROTECTアーキテクチャに結び付ける詳細な技術リリースだ。CTCはプロジェクトの焦点、モジュール型設計、意図する防御策を公開している。しかし、完全なシステム仕様や評価プロトコルは公開していない。
有用なリリースでは、ツールがどの攻撃をサポートするか、4つのリスク次元をどのように計算するか、評価器の不確実性をどのように表現するかを説明するだろう。また、モデル反転、モデル抽出、より広範な評価スイートの関係も定義するはずだ。
そうした情報は、プロジェクトの中核的な主張を強める。これは、共同研究が査読済みの手法を工学的プロセスへと移していることを示すものであり、孤立した実験に新しい名称を付けているだけではないことを示す。
要約スコアしか提示しないリリースは、その主張を弱める。セキュリティ専門家には、結果を再現し、無効な仮定を特定し、時間の経過に伴う評価を比較するための十分な詳細が必要である。
第2のシグナルは、より多くのアーキテクチャ、データ型、アクセス条件、防御手法にまたがる検証だ。公開された研究はコンピュータビジョンと画像分類に焦点を当てている。これは意味のある防衛用途のユースケースだが、軍事組織が配備するすべてのモデルを代表するものではない。
今後の評価では、ホワイトボックスアクセスとブラックボックスアクセスの間で結果がどのように変わるかを示すべきである。また、保護されていないモデルと、差分プライバシー、敵対的訓練、その他の緩和策を用いたモデルを比較すべきだ。
最も説得力のある証拠には、失敗事例が含まれるだろう。信頼できる評価プロジェクトは、指標が不安定になる箇所、自動評価器が専門家と一致しない箇所、攻撃がパイプラインの対象範囲外となる箇所を明らかにすべきである。
このような報告は、ツールの運用境界を定義するため信頼を強める。対照的に、無関係なモデル全体で一様な有効性を主張するなら、評価が任務固有のリスクを捉えているのかという疑問が生じる。
第3のシグナルは、正式なテスト環境内での採用だ。発表ではCTCとWest PointのRRCに言及しているが、評価を利用する調達プログラム、運用テスト組織、実運用システムは特定していない。
明確な受け入れ基準を持つパイロットは、その出力が実際の意思決定者を支援するかを示すだろう。評価者は、所見を緩和策、要件、文書化された配備判断に結び付けられるべきである。
運用上の採用は、ラボ研究では解決できないワークフロー上の課題も明らかにする。チームは、誰が攻撃を設定し、誰が結果をレビューし、評価にどれだけ時間がかかり、モデル更新後に何が起きるのかを決めなければならない。
PROTECTが継続的なライフサイクルテストの一部になれば、このプロジェクトのより広範な主張は支持を得る。敵対的AI評価が専門家による研究から、再現可能なプログラム実務へ移行できることを示すことになる。
採用が研究デモにとどまる場合でも、この手法は分野に貢献し得る。しかし、その場合はまだ、この共同研究を注目に値するものにしている制度的テストのボトルネックを解決したことにはならない。
開発者やエンタープライズの購入者は、防衛システムを扱わない場合でも関心を持つべきだ。商用チームも、モデルが機密文書、顧客記録、医療画像、内部業務データを処理する際に、同じ根本的な問題に直面する。
彼らは、公開されたインターフェースが訓練情報を漏えいさせるかどうか、そして緩和策が現実的なアクセス条件下で機能するかどうかを知る必要がある。また、モデル、プロンプト、周辺アプリケーションが変化した後も有用であり続けるテスト記録も必要となる。
CTCのAIセキュリティツールは、実用的な標準を示している。すなわち、プライバシー攻撃を明示的な仮定を伴う再現可能なテストとして扱うことだ。この原則は軍事調達を超えて適用できる。ベンダーレビュー、モデル選定、内部レッドチーミング、配備ゲートに役立てることができる。
より厳しい教訓も同様に重要だ。自動化された評価は、脅威モデリングや説明責任を伴う人間のレビューに取って代わるものではない。そうしたプロセスに、より一貫した証拠基盤を与えるものである。
公開されるPROTECTの方法論、より幅広いベンチマーク結果、そして名称が明示された運用パイロットに注目したい。これらのシグナルがそろえば、CTCとWest Pointが再利用可能な保証システムを構築したのか、それとも今後の作業を要する有効な研究ツールにとどまるのかが明らかになる。
機微なAIを評価するチームは、今まさに同じ問いを投げかけるべきだ。自らのセキュリティ上の主張は、再現可能なモデル窃取テストに耐えられるのか。答えが非公式な判断や単一のベンチマークに依存しているなら、その証拠はまだ成熟していない。PROTECTの進展が重要なのは、複雑なリスクを誤解を招くバッジへと矮小化することなく、その隔たりを埋められるかを検証するからだ。
